I O ativo mais valioso é também o mais delicado

O prontuário, onde o dado nasce e é guardado, e o marketing, onde a clínica usa informação para captar e se relacionar com pacientes. É exatamente nesses dois pontos que a maioria das clínicas se expõe, sem perceber.

II O que a lei diz

Dado de saúde é sensível, e isso muda o regime

A LGPD trata dado referente à saúde como dado pessoal sensível (art. 5º, II), e estabelece, no art. 11, regras próprias para o seu tratamento. Em geral, ele só pode ser tratado em hipóteses específicas: com consentimento do titular para finalidades determinadas, ou, sem consentimento, em situações como a tutela da saúde, em procedimento realizado por profissionais ou serviços de saúde.

Na prática, isso significa que a clínica não pode tratar dado de saúde "por padrão". Cada uso (atendimento, guarda, compartilhamento, marketing) precisa estar amparado em uma base legal adequada àquela finalidade, e a clínica precisa conseguir demonstrar qual base usou.

Prontuário: regras próprias, inclusive de guarda

O prontuário é o coração do dado sensível na clínica. Além das regras da LGPD sobre acesso e segurança, ele tem normas específicas da área. A Lei 13.787/2018, no art. 6º, fixa o prazo mínimo de 20 anos a contar do último registro, findo o qual o prontuário pode ser eliminado; e o § 5º do mesmo artigo estende a regra a todos os prontuários, qualquer que seja a forma de armazenamento — inclusive os microfilmados, os arquivados eletronicamente em meio óptico e os gerados e mantidos originalmente de forma eletrônica. A Resolução CFM 1.821/2007 segue como a norma técnica de referência para digitalização e guarda, mas seus prazos são anteriores à lei: o art. 8º trata de 20 anos para o prontuário em papel que não foi arquivado eletronicamente, e o art. 7º prevê guarda permanente para o arquivado em meio óptico, microfilmado ou digitalizado. Onde as duas divergem, prevalece a lei posterior; ainda assim, como a fiscalização ética é do conselho, a clínica que planeje eliminar acervo deve tratar essa tensão de forma deliberada, e não por default do sistema. Ou seja: o dado precisa ser conservado com segurança por décadas, o que é incompatível com armazenamento informal.

Manter prontuário em planilha solta, em grupo de mensagens ou em arquivos sem controle de acesso é tratar dado sensível sem a segurança que a lei exige, e concentrar, num ponto frágil, justamente a informação mais protegida.

Marketing: a base legal mais exigente

É no marketing que muitas clínicas escorregam com boa intenção. Usar foto, depoimento ou caso clínico de um paciente em anúncio, ou disparar campanha para a base inteira de pacientes, é tratamento de dado pessoal para finalidade de divulgação. E, sempre que o material revelar condição de saúde, tratamento ou procedimento, o dado é sensível pelo art. 5º, II, com o regime mais exigente do art. 11. A distinção importa menos do que parece na rotina da clínica: depoimento e caso clínico revelam isso por natureza, e a foto de um paciente identificado, publicada no canal de uma clínica, dificilmente fica neutra. Para esse tipo de uso, a regra costuma ser mais rígida: exige, em geral, consentimento específico e destacado, dado livremente para aquela finalidade.

"A paciente autorizou de boca" ou "ela não se importou" não constituem consentimento válido nos termos da lei. O consentimento precisa ser informado, específico e demonstrável. E há, ainda, a camada das normas de publicidade dos conselhos profissionais, que se somam à LGPD e disciplinam o que pode e o que não pode na divulgação: na medicina, a Resolução CFM 2.336/2023; na odontologia, a Resolução CFO-196/2019, que é mais restritiva em pontos centrais — entre eles, a divulgação de imagens de diagnóstico e conclusão de tratamento, que só é autorizada ao cirurgião-dentista que executou o procedimento.

III Na prática

O equívoco mais comum é tratar a LGPD como um "documento de adequação" que se resolve uma vez e se esquece. Proteção de dados é processo: depende de como a clínica coleta, guarda, usa e compartilha a informação no dia a dia.

Outro ponto sensível é o compartilhamento. Enviar dados para laboratório, operadora de plano, sistema de gestão ou ferramenta de agendamento sem saber quem acessa o quê é tratar dado sensível sem governança. E aqui a LGPD tem uma regra própria do setor, mais restritiva que a geral: o art. 11, § 4º, veda a comunicação e o uso compartilhado de dados sensíveis de saúde entre controladores com objetivo de obter vantagem econômica, salvo nas hipóteses ligadas à prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, incluídos os serviços auxiliares de diagnose e terapia — e, mesmo nessas, apenas para permitir a portabilidade pedida pelo titular ou as transações financeiras e administrativas do próprio serviço. O § 5º, no mesmo artigo, proíbe às operadoras de planos privados tratar dado de saúde para selecionar risco na contratação e na contratação ou exclusão de beneficiários. Na prática, cada fluxo de saída de dado da clínica precisa caber em uma dessas hipóteses. E a responsabilidade não sai junto com o dado: pelo art. 42, § 1º, o operador responde solidariamente quando descumpre a lei ou não segue as instruções lícitas do controlador, e os controladores diretamente envolvidos no tratamento que gerou o dano respondem solidariamente entre si.

A Autoridade Nacional de Proteção de Dados (ANPD) pode fiscalizar e aplicar sanções administrativas. O catálogo está no art. 52 da LGPD e vai da advertência com prazo para correção à multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração — além de multa diária, publicização da infração, bloqueio ou eliminação dos dados e suspensão da atividade de tratamento. A dosagem considera, entre outros critérios do § 1º, a gravidade, a boa-fé, a reincidência, o grau do dano e a adoção de política de boas práticas e governança. Ou seja: o que a clínica documenta pesa na conta. Mas, antes da sanção, o que está em jogo é a confiança: o paciente entregou à clínica o dado mais íntimo que possui, na expectativa de que ele seria tratado com cuidado. Tratar bem esse dado é, ao mesmo tempo, obrigação legal e diferencial de reputação.

IV Checklist de adequação (começando pelo que mais expõe)

  • Tire o prontuário de lugares informais. Migre para sistema com controle de acesso, registro de quem acessa e política de guarda compatível com o prazo mínimo de 20 anos da Lei 13.787/2018 e com as normas técnicas do CFM sobre prontuário eletrônico (Resolução CFM 1.821/2007, com a alteração da Resolução CFM 2.218/2018).
  • Defina a base legal de cada uso. Atendimento, guarda, compartilhamento e marketing podem exigir bases diferentes; documente qual se aplica a cada finalidade.
  • Defina quem responde pelos dados. O art. 41 da LGPD manda o controlador indicar um encarregado. A Resolução CD/ANPD nº 2/2022 dispensa a indicação para agentes de tratamento de pequeno porte (art. 11), desde que a clínica mantenha um canal de comunicação com o titular — mas o regime diferenciado não alcança quem faz tratamento de alto risco, e o uso de dado pessoal sensível é justamente um dos critérios de alto risco do regulamento (arts. 3º, I, e 4º, II, "d"). Na clínica, que trata dado de saúde por definição, o caminho mais seguro costuma ser indicar e divulgar o encarregado.
  • Reveja o marketing com dados de paciente. Para foto, depoimento e campanha, obtenha consentimento específico, destacado e demonstrável, e observe também a norma de publicidade do conselho: Resolução CFM 2.336/2023 na medicina, Resolução CFO-196/2019 na odontologia.
  • Mapeie os compartilhamentos. Saiba para quem a clínica envia dados (laboratório, plano, sistemas), com qual controle e — antes disso — em qual das hipóteses do art. 11, § 4º, da LGPD aquele fluxo se enquadra.
  • Controle o acesso interno. Nem toda a equipe precisa ver tudo; limite o acesso ao necessário para cada função.
  • Registre o que foi feito. Como em toda gestão de risco, o que não está documentado, para fins de fiscalização, não foi feito.

V Conclusão

Na clínica, o dado mais valioso é também o mais perigoso de tratar errado. E o risco não está escondido em sistemas complexos: está no prontuário e no marketing, os dois processos mais cotidianos. Tratá-los com a base legal certa, segurança adequada e registro é o que reduz, ao mesmo tempo, a exposição a sanções e o risco à confiança do paciente.

Adequar-se à LGPD não significa parar de fazer marketing nem virar a clínica do avesso. Significa reconhecer onde está a maior exposição e endereçá-la primeiro, com método.

Se a sua clínica ainda guarda prontuário de forma informal ou usa dados de pacientes em divulgação sem processo definido, vale priorizar essa adequação com apoio técnico. Para a análise do caso concreto, procure um advogado de sua confiança.

VI Perguntas frequentes

Por que o dado de saúde exige cuidado maior do que outros dados pessoais na LGPD? Porque a LGPD classifica dado referente à saúde como dado pessoal sensível (art. 5º, II), sujeito a regras próprias de tratamento (art. 11). Em geral, só pode ser tratado com consentimento do titular para finalidade determinada ou em hipóteses específicas, como a tutela da saúde por profissionais ou serviços de saúde.

Por quanto tempo a clínica deve guardar o prontuário do paciente? No mínimo 20 anos a contar do último registro. O prazo está na Lei 13.787/2018, art. 6º, e alcança o prontuário em papel, o digitalizado e o mantido originalmente em meio eletrônico (§ 5º). A Resolução CFM 1.821/2007, que trata da digitalização e da guarda, ainda prevê guarda permanente para o prontuário arquivado eletronicamente (art. 7º) — por isso, antes de eliminar qualquer acervo, convém checar as duas normas. De todo modo, guardar por décadas é incompatível com armazenamento informal: manter prontuário em planilha solta ou em grupo de mensagens é tratar dado sensível sem a segurança que a lei exige.

A clínica pode usar foto ou depoimento de paciente em campanha de marketing sem autorização formal? Não. Usar dado sensível para divulgação exige, em geral, consentimento específico e destacado, dado livremente para aquela finalidade. "A paciente autorizou de boca" não constitui consentimento válido — ele precisa ser informado, específico e demonstrável, além de observar a norma de publicidade do conselho profissional — Resolução CFM 2.336/2023 na medicina e Resolução CFO-196/2019 na odontologia.

A clínica é responsável pelos dados que compartilha com laboratórios e operadoras de plano? Sim — e a responsabilidade é compartilhada, não transferida. Antes disso, há uma regra específica de saúde: o art. 11, § 4º, da LGPD veda o compartilhamento de dado sensível de saúde entre controladores com objetivo de vantagem econômica, fora das hipóteses ligadas à própria prestação do serviço de saúde. Quanto à responsabilidade, o art. 42, § 1º, prevê que o operador responde solidariamente quando descumpre a lei ou não segue as instruções lícitas do controlador, e que os controladores diretamente envolvidos no tratamento que causou o dano também respondem solidariamente. Enviar dados sem saber quem acessa o quê continua sendo tratar dado sensível sem governança.

Por onde a clínica deve começar a adequação à LGPD? Pelos dois pontos de maior risco: tirar o prontuário de lugares informais, migrando para sistema com controle de acesso e política de guarda compatível com o prazo mínimo de 20 anos da Lei 13.787/2018, e revisar o marketing com dados de pacientes, obtendo consentimento específico e destacado para cada uso. Em paralelo, defina quem responde pelos dados: o art. 41 da LGPD manda o controlador indicar um encarregado, e a dispensa prevista na Resolução CD/ANPD nº 2/2022 para agentes de pequeno porte não alcança quem faz tratamento de alto risco — categoria em que o uso de dado pessoal sensível se enquadra.

VII Leia também

Conteúdo informativo, sem caráter de consulta ou parecer jurídico, elaborado em conformidade com o Provimento 205/2021 da OAB. Cada situação depende de análise individualizada dos fatos e documentos.